[디지털정보위][성명]
개인정보 3,750만 건 유출에 대한
개인정보보호위원회 역대 최대 과징금 결정,
쿠팡은 피해자 손해배상에 적극적으로 나서라!
– 쿠팡 개인정보 유출 손해배상청구소송 제기에 부쳐
민주사회를 위한 변호사모임 디지털정보위원회는 이제 시민들과 함께 쿠팡을 상대로 개인정보 유출에 따른 손해배상청구소송을 제기하고자 한다.
오늘 개인정보보호위원회는 쿠팡에 대하여 과징금 6,246억 8,100만 원과 과태료 1,680만 원을 부과하는 제재안을 의결하였다고 밝혔다. 이는 약 3,750만 건의 개인정보를 유출하고, 약 1,117만 명의 이용자 온라인 활동기록을 법적 근거 없이 수집한 행위에 대한 제재로, 역대 최대의 과징금이다.
이번 제재의 출발점은 2025년 11월 드러난 사상 초유의 개인정보 유출 사건이다. 쿠팡 전직 직원이 재직 중 탈취한 인증 서명키를 이용해 약 7개월간 서버에 무단 접속하여 고객 개인정보를 대량으로 유출하였고, 과학기술정보통신부 민관합동조사단은 2026년 2월 이러한 피해사실을 공식 확인하였다. 국민의 약 65%에 해당하는 대한민국 최대의 개인정보 침해 사고이다. 피해자의 숫자뿐만 아니라 유출된 정보가 지극히 민감한 내용이라는 점도 주목하여야 한다. 유출된 정보는 이름·전화번호·배송지 주소·공동현관 비밀번호·주문이력에 이르는 광범위한 개인정보이다. 특히, 공동현관 비밀번호는 개인정보 침해를 넘어 거주자의 신체 안전까지 위협할 수 있고, 주문이력에는 타인에게 알리고 싶지 않은 사적인 소비 내역이 담기기 때문에 매우 민감한 개인정보이다.
개인정보 유출 사태에 대한 쿠팡의 대응은 처음부터 끝까지 책임 회피 일변도였다. 최초 신고 당시 유출 규모를 4,536개로 축소하였고, 정보보호 최고책임자(CISO) 보고 시점으로부터 24시간이 경과한 후에야 한국인터넷진흥원에 신고를 하였으며, 과기정통부의 자료보전 명령에도 불구하고 자사 접속기록의 자동 로그저장 정책을 조정하지 않아 약 5개월(2024.7.~11.) 분량 웹 접속기록과 ‘25.5.23.부터 6.2.까지 앱 접속기록(로그)이 삭제되었다. 피해 통지시 ‘유출’ 대신 ‘노출’·’무단 접근’이라는 표현을 사용하였고 공동현관 비밀번호, 이름, 전화번호, 주소 등 일부 항목의 유출 사실을 누락하였다. 이후 쿠팡이 내놓은 ‘보상’은 1인당 5만 원 상당의 구매이용권이었으나, 3개월 사용기한 제한, 잔액 환불 불가, 쿠팡 계열사 재가입 강제라는 조건을 붙여 실질적인 금전 배상을 회피하는 수단으로 활용하였다. 개인정보보호위원회의 과징금 의결은 쿠팡이 인증 서명키 관리와 접근통제 등 기본적인 안전조치 의무위반을 확인하였다는 측면에서 그 의미가 있다.
쿠팡은 피해자에게 실질적인 손해가 없다는 취지로 주장하였지만, 이는 해킹 피해로 인한 단순한 불안감에 대하여는 손해배상 책임이 없다는 이른바 ‘해피캠퍼스 판결(대법원 2025. 12. 4. 선고 2023다311184)’에 따른 방어논리로 해석된다. 그러나 해피캠퍼스 사건은 유출 정보가 이메일 주소와 암호화된 비밀번호뿐이었고, 해킹 발생 3일 만에 즉각 신고·통지하였으며, 피고에게 중과실이 없다고 인정된 사안이다. 반면 쿠팡의 경우, 유출된 이름·전화번호·주소 등은 그 자체로 정보주체를 직접 식별하는 개인정보이고, 공동현관 비밀번호와 구매이력 등 사적이고 민감한 정보를 포함한다. 또한, 쿠팡은 유출 개시(2025년 6월)부터 인지(2025년 11월)까지 약 5개월의 공백 동안 제3자에게 유통되었을 가능성을 배제하기 어려우며, 2020년부터 이어진 반복적 보안 사고에도 근본적 개선을 이행하지 않은 것은 명백한 중과실에 해당한다. 대법원이 제시한 7가지 판단 기준 중 쿠팡에 유리한 사정은 단 하나도 없다.
쿠팡은 이번 사고를 전직 직원의 일방적 범죄 행위로 규정하며 회사의 책임이 제한되어야 한다는 논리를 내세우고 있다. 그러나 이러한 주장은 수용할 수 없다. 개인정보보호법 제29조는 개인정보처리자에게 개인정보가 유출되지 않도록 내부 관리계획 수립, 접속기록 보관 등 기술적·관리적·물리적 안전조치 의무를 부과하고 있다. 민관합동조사단은 쿠팡이 ① 전자 출입증 위·변조 여부를 검증하는 체계를 갖추지 않았고, ② 퇴사자의 서명키를 즉시 폐기·갱신하는 절차가 없었으며, ③ 개발자 노트북에 서명키가 저장되는 관행을 방치하였고, ④ 비정상 접속 행위를 탐지·차단하지 못하였음을 확인하였다. 전직 직원이 범죄를 저질렀다는 사실이 이러한 쿠팡의 구조적 보안 관리 부실에 대한 책임을 정당화하지 않는다. 오히려 쿠팡은 2020년, 2021년, 2023년에 이어 네 번째 대규모 개인정보 사고를 겪으면서도 근본적 개선을 이행하지 않은 중과실이 있다.
우리는 쿠팡 개인정보 유출 피해자들을 대리하여 개인정보보호법 제39조의2 제1항에 따른 법정손해배상 청구 소송을 제기한다. 승소 시 대규모 개인정보 유출 피해 구제의 구체적 기준을 확립하는 선례가 될 것이며, 패소 시에도 현행 법정손해배상 제도가 실질적 구제에 작동하지 못하는 현실을 공론화하여 제도 개선의 근거를 확보할 것이다.
나아가, 개인정보 유출 사건에서 손해의 범위와 관련하여 새로운 기준을 제시하고 법원의 판단을 받고자 한다. 2019년 미국 연방법원은 에퀴팩스(Equifax, Inc.)의 고객정보 유출 집단소송에서 제기된 기각신청에 대한 판단에서, 해커 등 제3자의 불법 행위가 개입된 경우에도 기업이 보안 취약점을 인식하고도 미흡한 보안 체계를 유지하였다면 사이버 범죄의 발생은 합리적으로 예견 가능한 것으로서 기업의 책임이 면제되지 않는다고 판시하면서 ① 신원 도용 등 피해가 현실화되지 않았더라도 자신의 신용 및 신원정보 사용 여부를 모니터링하기 위해 시간과 노력을 들였다는 점, ② 사기 및 신원 도용 관련 심각하고 임박한 위험에 직면해 있다는 점 등으로 손해를 입었다는 원고의 주장을 받아들였다. 이와 마찬가지로 쿠팡 사건에서 유출 개시(2025년 6월)부터 인지(2025년 11월)까지 5개월간 피해자들이 방치된 위험 노출 상태는 그 자체로 위자할 가치 있는 손해이므로 우리는 미국 등 주요국의 판단 기준과 피해자의 권리구제를 용이하게 하려는 당초 개인정보보호법의 입법 취지에 따라 손해 범위를 넓게 인정받을 수 있도록 적극 주장할 것이다.
우리는 쿠팡 사태를 겪으며 확인한 현행 법률 한계에 대해서도 지속적으로 개정운동을 하여 왔다. 법정 손해배상액 상한의 현실화, 징벌적 손해배상 도입, 과징금 부과 근거를 강화한 한창민 의원 대표발의 개인정보보호법 개정안을 지지하였고, 국회에 3,750만 피해자가 실질적으로 구제받을 수 있는 집단소송법 제정을 위해 노력하고 있다.
쿠팡이 미국 투자자들에게 ‘한국 소비자들은 개인정보 유출에 익숙하다’고 설명하였다는 사실이 현실이 되지 않도록, 우리는 법정에서도 끝까지 싸울 것이다.
2026년 6월 11일
민주사회를 위한 변호사모임 디지털정보위원회
Views: 883